نظام تسجيل نقاط الضعف المشترك

نظام تسجيل نقاط الضعف المشترك (CVSS) هو معيار صناعي مجاني ومفتوح لتقييم شدة الثغرات الأمنية لنظام الكمبيوتر. تحاول CVSS تخصيص درجات الخطورة لنقاط الضعف، مما يسمح للمستجيبين بتحديد أولويات الاستجابات والموارد وفقًا للتهديد. يتم حساب الدرجات بناءً على صيغة تعتمد على عدة مقاييس تقارب سهولة الاستغلال وتأثير الاستغلال. تتراوح الدرجات من 0 إلى 10، حيث تكون 10 هي الأشد. في حين أن الكثيرين يستخدمون فقط نقاط CVSS الأساسية لتحديد الشدة، توجد أيضًا الدرجات الزمنية والبيئية، لعامل توافر عوامل التخفيف ومدى انتشار الأنظمة الضعيفة داخل المؤسسة، على التوالي.
تم إصدار الإصدار الحالي من CVSS (CVSSv3.1) في يونيو 2019.
التاريخ
أدى البحث الذي أجراه المجلس الاستشاري الوطني للبنية التحتية (NIAC) في 2003/2004 إلى إطلاق الإصدار 1 من CVSS (CVSSv1) في فبراير 2005، بهدف أن يكون «مصممًا لتوفير تصنيفات مفتوحة ومعيار عالمي لشدة نقاط الضعف في البرامج». لم تخضع هذه المسودة الأولية لمراجعة النظراء أو المراجعة من قبل المنظمات الأخرى. في أبريل 2005، اختارت NIAC منتدى فرق الاستجابة للحوادث والأمن (FIRST) لتصبح الوصي على CVSS من أجل التنمية المستقبلية.
تشير التعليقات الواردة من البائعين الذين يستخدمون CVSSv1 في الإنتاج إلى وجود «مشكلات كبيرة في المسودة الأولية لـ CVSS». بدأ العمل على الإصدار 2 من CVSS (CVSSv2) في أبريل 2005 مع إطلاق المواصفات النهائية في يونيو 2007.
نتج عن المزيد من التعليقات بدء العمل على الإصدار 3 CVSS في عام 2012، وانتهاءً بإصدار CVSSv3.0 في يونيو 2015.
المصطلح
يقيس تقييم CVSS ثلاثة مجالات اهتمام:
المقاييس الأساسية للصفات الجوهرية للثغرات
المقاييس الزمنية للخصائص التي تتطور على مدى عمر الضعف
المقاييس البيئية لنقاط الضعف التي تعتمد على تطبيق أو بيئة معينة
يتم إنشاء درجة عددية لكل مجموعة من هذه المجموعات المترية. تمثل السلسلة المتجهة (أو ببساطة «المتجه» في CVSSv2) قيم جميع المقاييس ككتلة نصية.
المقاييس الأساسية
الوصول إلى Vector
يوضح ناقل الوصول (AV) كيف يمكن استغلال الثغرة الأمنية.
تعقيد الوصول
يصف مقياس تعقيد الوصول (AC) مدى سهولة أو صعوبة استغلال الثغرة المكتشفة.
المصادقة
يصف مقياس المصادقة (Au) عدد المرات التي يجب على المهاجم المصادقة على هدف لاستغلاله. لا يشمل (على سبيل المثال) المصادقة على الشبكة من أجل الوصول. بالنسبة للثغرات الأمنية القابلة للاستغلال محليًا، يجب تعيين هذه القيمة فقط إلى فردية أو متعددة إذا كانت المصادقة الإضافية مطلوبة بعد الوصول الأولي.
مقاييس التأثير
سرية
يصف مقياس السرية (C) التأثير على سرية البيانات التي يعالجها النظام.
النزاهة
يصف مقياس النزاهة (I) التأثير على سلامة النظام المستغل.
التوفر
يصف مقياس التوفر (A) التأثير على توفر النظام المستهدف. تؤثر الهجمات التي تستهلك عرض النطاق الترددي للشبكة أو دورات المعالج أو الذاكرة أو أي موارد أخرى على توفر النظام.
العمليات الحسابية
تُستخدم هذه المقاييس الستة لحساب قابلية الاستغلال والتأثير على النتائج الفرعية للثغرة. تُستخدم هذه الدرجات الفرعية لحساب النتيجة الأساسية الإجمالية.
المقاييس متسلسلة لإنتاج CVSS Vector للثغرة الأمنية.
مثال
تؤثر ثغرة تجاوز سعة المخزن المؤقت على برنامج خادم الويب الذي يسمح للمستخدم البعيد بالتحكم الجزئي في النظام، بما في ذلك القدرة على التسبب في إيقاف تشغيله:
انظر أيضًا
تعداد نقاط الضعف الشائعة (CWE)
نقاط الضعف والتعرض الشائعة (CVE)
تعداد وتصنيف نمط الهجوم المشترك (CAPEC)
المراجع
روابط خارجية
موقع CVSS لمنتدى فرق الاستجابة للحوادث والأمن (FIRST)
موقع CVSS لقاعدة بيانات الضعف الوطنية (NVD)
نظام حساب نقاط الضعف المشترك v2
أمن شبكات الحاسوب
معايير أمن الحاسوب